Data Governance Act : le règlement européen sur la gouvernance des données expliqué

Le Data Governance Act (DGA), ou règlement sur la gouvernance des données, est le règlement (UE) 2022/868 du 30 mai 2022. Publié au Journal officiel de l’Union européenne le 3 juin 2022, il est entré en vigueur le 23 juin 2022 et s’applique depuis le 24 septembre 2023. Sans imposer à quiconque de partager ses données (son article 1er le précise pour les organismes publics), il fixe les conditions dans lesquelles ce partage peut se faire en confiance, autour de trois mécanismes : la réutilisation de certaines données protégées détenues par le secteur public, les services d’intermédiation de données et l’altruisme en matière de données. Il institue aussi un groupe d’experts chargé d’harmoniser les pratiques nationales, le comité européen de l’innovation dans le domaine des données.

La première version de cet article, publiée en avril 2021, décrivait la proposition présentée par la Commission européenne le 25 novembre 2020. Le texte a depuis été adopté avec plusieurs modifications, dont un chapitre propre consacré à l’accès et au transfert internationaux, et la Commission a proposé le 19 novembre 2025 de l’abroger pour en reprendre les règles dans le Data Act. Cette version, mise à jour le 20 octobre 2026, présente le règlement tel qu’il s’applique, sa place parmi les autres textes européens sur les données et les démarches qu’il impose aux organisations concernées.

Repères chronologiques

• 19 février 2020 : la Commission publie sa stratégie européenne pour les données (COM(2020) 66).
• 25 novembre 2020 : la Commission présente sa proposition de règlement sur la gouvernance des données (COM(2020) 767).
• 30 mai 2022 : le Parlement européen et le Conseil adoptent le règlement (UE) 2022/868, publié au Journal officiel le 3 juin 2022.
• 23 juin 2022 : le règlement entre en vigueur.
• 24 septembre 2023 : le règlement devient applicable, date à laquelle les États membres devaient aussi avoir désigné leurs autorités compétentes et notifié leur régime de sanctions à la Commission.
• 21 mai 2024 : en France, la loi visant à sécuriser et réguler l’espace numérique confie à l’Arcep la régulation des intermédiaires de données.
• 24 septembre 2025 : les intermédiaires déjà actifs au 23 juin 2022 doivent s’être mis en conformité, et la Commission doit avoir évalué le règlement.
• 19 novembre 2025 : la Commission propose, dans un règlement « omnibus numérique », d’abroger le DGA et d’en intégrer les règles au Data Act.

Un texte issu de la stratégie européenne pour les données

Le DGA est la première mesure législative de la stratégie européenne pour les données, publiée par la Commission en février 2020 pour faciliter la circulation des données entre secteurs et entre États membres dans le respect des règles européennes. En 2021, il était souvent présenté avec deux autres propositions de la Commission, le Digital Services Act et le Digital Markets Act, comme l’un des volets d’une même stratégie numérique. Les trois textes ont depuis été adoptés et ont chacun leur objet :

• le Digital Services Act (règlement (UE) 2022/2065), applicable depuis le 17 février 2024, encadre les obligations des services intermédiaires et des plateformes en ligne, notamment face aux contenus illicites ;
• le Digital Markets Act (règlement (UE) 2022/1925), applicable depuis le 2 mai 2023, impose des obligations aux grandes plateformes désignées comme contrôleurs d’accès ;
• le Data Governance Act organise le partage volontaire de données entre acteurs publics et privés.

Le DGA a ensuite été complété par le Data Act (règlement (UE) 2023/2854), applicable depuis le 12 septembre 2025, qui crée notamment des droits d’accès aux données des produits connectés, et par des textes sectoriels comme le règlement (UE) 2025/327 relatif à l’espace européen des données de santé, adopté le 11 février 2025. La directive (UE) 2019/1024 sur les données ouvertes, que le DGA prolonge pour les données publiques qui ne peuvent pas être librement diffusées, a reçu de son côté un règlement d’exécution, le règlement (UE) 2023/138, qui dresse la liste des ensembles de données de forte valeur à mettre à disposition gratuitement ; il s’applique depuis juin 2024.

Champ d’application et définitions

L’article 1er fixe quatre objets au règlement : les conditions de réutilisation, au sein de l’Union, de certaines catégories de données détenues par des organismes du secteur public, un cadre de notification et de surveillance des services d’intermédiation de données, un cadre d’enregistrement volontaire des entités qui collectent et traitent des données mises à disposition à des fins altruistes, et la création du comité européen de l’innovation dans le domaine des données. Le même article précise que le règlement n’oblige pas les organismes publics à autoriser la réutilisation de leurs données et ne les libère pas de leurs obligations de confidentialité.

La définition des données, à l’article 2, est très large : « toute représentation numérique d’actes, de faits ou d’informations et toute compilation de ces actes, faits ou informations, notamment sous la forme d’enregistrements sonores, visuels ou audiovisuels ». Elle couvre les données personnelles comme les données non personnelles. Pour les premières, le règlement s’applique sans préjudice du RGPD, et l’article 1er règle les conflits éventuels au profit du droit de la protection des données à caractère personnel, qui prévaut. Le texte est également sans préjudice du droit de la concurrence et des compétences des États membres en matière de sécurité publique, de défense et de sécurité nationale.

Un règlement plutôt qu’une directive

Dès sa proposition, la Commission avait justifié le choix d’un règlement, directement applicable dans tous les États membres sans transposition : la notification des prestataires, les mécanismes d’altruisme, les principes de réutilisation des données publiques protégées et les structures de coordination européennes demandent une application uniforme, et l’applicabilité directe évite les délais de mise en œuvre d’une directive. Le texte adopté reprend la formule habituelle selon laquelle il « est obligatoire dans tous ses éléments et directement applicable dans tout État membre ». Il laisse néanmoins aux États membres l’organisation de leurs autorités compétentes, de leur point d’information unique et de leur régime de sanctions.

Les neuf chapitres du règlement

La proposition de 2020 comptait huit chapitres et traitait de l’accès international dans ses dispositions finales ; le texte adopté en compte neuf, ce sujet faisant désormais l’objet d’un chapitre à part.

Chapitre I : dispositions générales

Le premier chapitre fixe l’objet et le champ d’application du règlement, présentés plus haut, ainsi que ses définitions, parmi lesquelles celles des services d’intermédiation de données, des coopératives de données et de l’altruisme en matière de données.

Chapitre II : réutilisation de données protégées du secteur public

Le chapitre II vise les données détenues par des organismes du secteur public et protégées pour des motifs de confidentialité commerciale (secret d’affaires, secret professionnel), de secret statistique, de protection des droits de propriété intellectuelle de tiers ou de protection des données à caractère personnel (article 3). Ces données échappent à la directive sur les données ouvertes, puisqu’elles ne peuvent pas être publiées telles quelles. Le DGA laisse à l’organisme public la décision d’en autoriser la réutilisation et encadre les conditions de cette autorisation.

Les accords d’exclusivité sont en principe interdits (article 4), sauf dans la mesure nécessaire à la fourniture d’un service ou d’un produit d’intérêt général qui ne pourrait pas être obtenu autrement. Les conditions de réutilisation doivent être non discriminatoires, transparentes, proportionnées et objectivement justifiées, et ne peuvent pas servir à restreindre la concurrence (article 5). Pour préserver le caractère protégé des données, l’organisme public peut exiger que les données personnelles soient anonymisées et que les informations commerciales confidentielles soient modifiées ou agrégées, ou que l’accès se fasse à distance dans un environnement de traitement sécurisé qu’il fournit ou contrôle, voire dans ses locaux. Chaque État membre désigne un point d’information unique qui recense les ressources disponibles et reçoit les demandes (article 8), et la décision intervient en principe dans un délai de deux mois, prolongeable de trente jours au plus pour les demandes exceptionnellement détaillées et complexes (article 9).

Chapitre III : services d’intermédiation de données

Le chapitre III encadre trois catégories de services (article 10) : l’intermédiation entre détenteurs de données et utilisateurs potentiels, par exemple une plateforme d’échange de données, l’intermédiation entre les personnes qui souhaitent mettre leurs données à disposition et les utilisateurs potentiels, y compris pour les aider à exercer leurs droits au titre du RGPD, et les coopératives de données, qui réunissent des personnes, des entreprises unipersonnelles ou des PME pour les aider à exercer leurs droits sur certaines données.

Tout prestataire doit notifier son activité à l’autorité compétente de l’État membre de son établissement principal ; un prestataire établi hors de l’Union désigne un représentant légal dans un État membre où il propose ses services (article 11). L’article 12 pose les conditions de neutralité qui font l’originalité du dispositif : le prestataire ne peut pas utiliser les données qu’il intermédie à d’autres fins que leur mise à disposition des utilisateurs, il doit fournir le service par l’intermédiaire d’une personne morale distincte, et ses conditions commerciales ne peuvent pas être subordonnées à l’utilisation de ses autres services. À sa demande, l’autorité compétente confirme qu’il respecte ces exigences, ce qui lui permet d’utiliser le label « prestataire de services d’intermédiation de données reconnu dans l’Union » et un logo commun. La Commission tient un registre public des prestataires notifiés.

En France, l’autorité compétente est l’Arcep depuis la loi du 21 mai 2024 visant à sécuriser et réguler l’espace numérique. Les entités qui fournissaient déjà de tels services au 23 juin 2022 disposaient d’un délai expirant le 24 septembre 2025 pour se conformer au chapitre III (article 37).

Chapitre IV : altruisme en matière de données

Le règlement définit l’altruisme en matière de données comme le partage volontaire de données, sur la base du consentement des personnes concernées ou de l’autorisation des détenteurs de données non personnelles, sans contrepartie allant au-delà de la compensation des coûts, pour des objectifs d’intérêt général comme les soins de santé, la lutte contre le changement climatique, l’amélioration de la mobilité, la statistique publique ou la recherche scientifique.

Les organisations qui collectent ces données peuvent s’inscrire dans un registre public national ; la Commission tient un registre de l’Union à titre d’information (article 17). L’inscription ouvre le droit d’utiliser le label « organisation altruiste en matière de données reconnue dans l’Union » et un logo commun, accompagné d’un code QR renvoyant au registre. Pour être enregistrée, une entité doit mener des activités altruistes en matière de données, être une personne morale poursuivant des objectifs d’intérêt général, agir sans but lucratif en restant juridiquement indépendante de toute entité lucrative, et exercer cette activité par une structure fonctionnellement distincte de ses autres activités (article 18). Elle doit aussi respecter un recueil de règles que la Commission adopte par actes délégués (article 22). Un formulaire européen de consentement à l’altruisme en matière de données, établi par actes d’exécution, permet de recueillir le consentement ou l’autorisation dans un format uniforme dans tous les États membres (article 25).

Chapitre V : autorités compétentes et dispositions procédurales

Les autorités compétentes pour les intermédiaires et pour l’enregistrement des organisations altruistes doivent être juridiquement distinctes et fonctionnellement indépendantes des entités qu’elles contrôlent ; un État membre peut confier les deux fonctions à la même autorité (article 26). Toute personne peut introduire une réclamation auprès de ces autorités contre un prestataire ou une organisation reconnue (article 27) et dispose d’un recours juridictionnel effectif contre leurs décisions (article 28).

Chapitre VI : comité européen de l’innovation dans le domaine des données

Le comité européen de l’innovation dans le domaine des données est un groupe d’experts institué par la Commission (article 29). Il réunit des représentants des autorités compétentes de tous les États membres, du comité européen de la protection des données, du Contrôleur européen de la protection des données, de l’ENISA, de la Commission et des PME, ainsi que d’organismes sectoriels. Il conseille la Commission pour harmoniser le traitement des demandes de réutilisation, les pratiques d’altruisme et celles des autorités compétentes, et l’assiste sur les normes, l’interopérabilité et les lignes directrices des espaces européens communs de données (article 30).

Chapitre VII : accès international et transfert international

Ce chapitre vise les données à caractère non personnel. Les organismes publics, les réutilisateurs, les intermédiaires et les organisations altruistes doivent prendre des mesures techniques, juridiques et organisationnelles raisonnables pour empêcher un transfert ou un accès des pouvoirs publics d’un pays tiers qui entrerait en conflit avec le droit de l’Union ou d’un État membre. Une décision de justice ou d’une autorité administrative d’un pays tiers exigeant un tel transfert ne peut être reconnue que si elle repose sur un accord international, comme un traité d’entraide judiciaire (article 31). Cette disposition répond aux mêmes préoccupations que celles soulevées par le CLOUD Act américain.

Chapitre VIII : délégation et comité

Le chapitre VIII fixe les conditions dans lesquelles la Commission adopte des actes délégués, comme le recueil de règles applicable aux organisations altruistes (article 32), et la procédure de comité qui encadre ses actes d’exécution, comme le formulaire de consentement ou les logos communs (article 33).

Chapitre IX : dispositions finales et transitoires

Le dernier chapitre laisse aux États membres le soin de fixer des sanctions effectives, proportionnées et dissuasives, notamment pour les manquements aux règles de transfert, à l’obligation de notification et aux conditions d’enregistrement (article 34). Il prévoyait une évaluation du règlement par la Commission au plus tard le 24 septembre 2025 (article 35), la période transitoire des intermédiaires (article 37) et les dates d’entrée en vigueur et d’application (article 38).

Une abrogation proposée par l’omnibus numérique

Le 19 novembre 2025, la Commission a présenté une proposition de règlement « omnibus numérique » (COM(2025) 837) qui abroge, entre autres textes, le règlement (UE) 2022/868. D’après l’exposé des motifs, les règles du chapitre II seraient fusionnées avec celles de la directive sur les données ouvertes pour former un cadre unique de réutilisation des données du secteur public, et les règles sur l’intermédiation et l’altruisme seraient consolidées et rationalisées ; l’ensemble serait intégré au Data Act, qui deviendrait l’instrument unique de l’économie européenne des données. Notre article sur le Digital Omnibus Package présente les autres volets de cette proposition.

À la date du 20 octobre 2026, la fiche de la procédure 2025/0360(COD) sur le site du Parlement européen indique que le texte attend encore la décision de la commission parlementaire compétente. Le DGA reste donc applicable, et ses obligations s’imposent jusqu’à l’adoption et l’entrée en application d’un éventuel texte de remplacement.

Identifier ses obligations selon son rôle dans le partage de données

Les obligations du DGA dépendent du rôle que joue une organisation, et la première étape consiste à le qualifier. Une entreprise qui met en relation des détenteurs et des utilisateurs de données, qu’il s’agisse d’une plateforme d’échange, d’une infrastructure d’espace de données ou d’une coopérative, doit vérifier si son activité entre dans l’article 10. Si c’est le cas et que son établissement principal est en France, elle notifie son activité à l’Arcep avant de commencer, confie le service à une personne morale distincte et s’interdit d’utiliser les données à d’autres fins que leur mise à disposition ; elle peut ensuite demander la confirmation qui ouvre l’usage du label.

Une entreprise ou une équipe de recherche qui souhaite réutiliser des données publiques protégées, comme des statistiques détaillées ou des informations commerciales détenues par une administration, s’adresse au point d’information unique de l’État membre concerné. Elle doit prévoir des conditions techniques (anonymisation, agrégation, traitement dans un environnement sécurisé) et un délai de décision de deux mois, et intégrer ces contraintes dans le calendrier de son projet.

Une association qui collecte des données pour un objectif d’intérêt général peut demander son inscription comme organisation altruiste reconnue, à condition de remplir les critères de l’article 18 ; lorsque les données sont personnelles, le recueil du consentement reste soumis au RGPD. Dans tous les cas, l’examen de l’omnibus numérique mérite un suivi, puisque ces obligations pourraient être déplacées dans le Data Act et modifiées. Notre guide de la gouvernance des données replace le DGA parmi les autres textes européens sur les données (RGPD, Data Act, AI Act).

Sources et références 19 sources

Textes de l'Union européenne

1. [1] Règlement (UE) 2022/868 du 30 mai 2022 portant sur la gouvernance européenne des données (Data Governance Act)
2. [2] Proposition de règlement sur la gouvernance européenne des données, COM(2020) 767 du 25 novembre 2020
3. [3] Communication « Une stratégie européenne pour les données », COM(2020) 66 du 19 février 2020
4. [4] Règlement (UE) 2022/2065 (Digital Services Act)
5. [5] Règlement (UE) 2022/1925 (Digital Markets Act)
6. [6] Règlement (UE) 2023/2854 (Data Act)
7. [7] Règlement (UE) 2025/327 relatif à l'espace européen des données de santé
8. [8] Directive (UE) 2019/1024 concernant les données ouvertes et la réutilisation des informations du secteur public
9. [9] Règlement d'exécution (UE) 2023/138 établissant une liste d'ensembles de données de forte valeur
10. [10] Règlement (UE) 2016/679 (RGPD)

Omnibus numérique

1. [11] Proposition de règlement omnibus numérique, COM(2025) 837 du 19 novembre 2025
2. [12] Parlement européen, Observatoire législatif : procédure 2025/0360(COD)

Commission européenne

1. [13] Règlement sur la gouvernance des données (page de la stratégie numérique)
2. [14] Registre des services d'intermédiation de données
3. [15] Registre des organisations altruistes en matière de données
4. [16] Communiqué de presse IP/20/2102 sur la proposition (25 novembre 2020)
5. [17] Questions et réponses sur la proposition, QANDA/20/2103 (25 novembre 2020)

Arcep

1. [18] Règlement sur la gouvernance des données : l'Arcep chargée de la régulation des intermédiaires de données (22 mai 2024)
2. [19] Comment me notifier en tant que prestataire de services d'intermédiation de données ?